29. Mai 2026 19:36

SolarWinds Supply Chain-Angriff: Die größte Cyberspionage-Operation der Geschichte

Der im Dezember 2020 aufgedeckte SolarWinds Supply Chain-Angriff ging als eine der raffiniertesten und wirkungsvollsten Operationen in die Geschichte der Cybersicherheit ein. Dieser Angriff, der Tausende von Organisationen betraf und insbesondere US-Bundesbehörden ins Visier nahm, unterstrich einmal mehr die kritische Bedeutung der Supply Chain-Sicherheit. In dieser umfassenden Analyse werden wir die Anatomie des Angriffs, seine Auswirkungen und die Lehren für die Unternehmenswelt detailliert untersuchen.

Was ist der SolarWinds-Angriff und wie wurde er durchgeführt?

SolarWinds Corporation ist ein Technologieunternehmen, das weltweit mehr als 300.000 Kunden Netzwerk- und Infrastruktur-Management-Software anbietet. Die Angreifer zielten auf eines der beliebtesten Produkte des Unternehmens, die Orion Platform, ab und infiltrierten Tausende von Organisationen über ein vertrauenswürdiges Software-Update.

Der Angriff verwendete eine Methode, die als Supply Chain-Kompromittierung bekannt ist. Die Angreifer zielten nicht direkt auf die Zielorganisationen, sondern auf einen vertrauenswürdigen Drittanbieter-Softwarelieferanten dieser Organisationen. Dieser Ansatz gilt als eine der effektivsten Möglichkeiten, Cybersicherheitsabwehr zu umgehen.

SUNBURST und SUNSPOT Malware

Im Zentrum des Angriffs stehen zwei wichtige Malware-Komponenten:

SUNBURST (auch bekannt als Solorigate) ist ein bösartiger Code, der wie eine legitime Komponente der SolarWinds Orion-Software erscheint, aber tatsächlich als Backdoor fungiert. Diese Malware hatte auf den betroffenen Systemen folgende Eigenschaften:

• Vermeidung der Erkennung durch eine zweiwöchige Wartezeit
• Command-and-Control-Kommunikation, versteckt im legitimen SolarWinds-Traffic
• Selektives Verhalten: Aktivierung nur bei wertvollen Zielen
• Fähigkeit zur Erkennung und Deaktivierung von Sicherheitstools und -prozessen
• Mechanismen zur Spurenbeseitigung und Selbstverschleierung

SUNSPOT hingegen ist eine weitere Malware, die erklärt, wie die Angreifer in den Build-Prozess von SolarWinds eindrangen. SUNSPOT wurde in die Softwareentwicklungsumgebung von SolarWinds eingeschleust, überwachte den Kompilierungsprozess der Orion-Software und fügte automatisch den SUNBURST-Code hinzu. Dies ist einer der wichtigsten Indikatoren dafür, wie geplant und raffiniert der Angriff war.

Chronologie und Anatomie des Angriffs

Laut Analysen von FireEye und Microsoft-Sicherheitsforschern verlief die Zeitlinie des Angriffs wie folgt:

September 2019 - Februar 2020: Die Angreifer drangen in das interne Netzwerk von SolarWinds ein und erkundeten die Softwareentwicklungsumgebung. In dieser Zeit platzierten sie die SUNSPOT-Malware.

März 2020: Das erste Orion-Update mit SUNBURST (2019.4 HF 5) wurde veröffentlicht. In dieser Version war der bösartige Code jedoch noch nicht vollständig aktiv.

Mai 2020: Orion-Updates mit der voll funktionsfähigen SUNBURST-Version (2019.4 HF 6 und 2020.2) wurden veröffentlicht. Diese wurden an etwa 18.000 SolarWinds-Kunden verteilt.

Juni - November 2020: Die Angreifer überwachten die infizierten Systeme und identifizierten wertvolle Ziele. Sie führten Angriffe der zweiten Phase bei etwa 100 Organisationen durch.

Dezember 2020: FireEye entdeckte abnormale Aktivitäten in den eigenen Systemen und begann mit Ermittlungen. Dies führte zur Aufdeckung des Angriffs.

Betroffene Organisationen und Ausmaß des Angriffs

Das Ausmaß des SolarWinds-Angriffs war wirklich beeindruckend. Etwa 18.000 Organisationen installierten die Updates mit der Malware. Die Angreifer konzentrierten jedoch ihre Ressourcen auf die wertvollsten Ziele und führten bei etwa 100 Organisationen tiefgreifende Angriffe durch.

Auswirkungen auf US-Bundesbehörden

Zu den am stärksten betroffenen kritischen Organisationen gehörten:

• US-Finanzministerium: Unbefugter Zugriff auf E-Mail-Systeme
• US-Handelsministerium: Daten der National Telecommunications and Information Administration wurden kompromittiert
• US-Energieministerium: Für nukleare Sicherheitssysteme zuständige Abteilungen wurden betroffen
• US-Außenministerium: Diplomatische Kommunikations- und E-Mail-Systeme wurden gefährdet
• Department of Homeland Security: Die für Cybersicherheit zuständige Behörde selbst wurde ins Visier genommen
• Pentagon und Verteidigungssektor: Verschiedene Verteidigungsauftragnehmer und verbundene Organisationen

Im Privatsektor wurden auch Fortune-500-Unternehmen wie Microsoft, Cisco, Intel, Nvidia und Deloitte angegriffen. Der Diebstahl eigener Angriffstools des Cybersicherheitsunternehmens FireEye zeigte die Schwere der Situation.

Internationale Dimension und Türkei-Verbindung

Der Angriff blieb nicht auf die USA beschränkt. Auch in Ländern wie Kanada, Großbritannien, Israel, Mexiko, Belgien und den VAE wurden betroffene Organisationen identifiziert. In der Türkei wurde eingeschätzt, dass einige große Organisationen, die SolarWinds-Produkte verwenden, potenziell gefährdet waren.

Obwohl einige türkische öffentliche Einrichtungen und Unternehmen des Privatsektors die SolarWinds Orion-Plattform nutzen, wurde in der Türkei keine großangelegte Datenpanne gemeldet. Diese Situation veranlasste jedoch lokale Organisationen, sich hinsichtlich der Supply Chain-Sicherheit zu hinterfragen und ihre Risikobewertungen zu überprüfen.

Zuordnung des Angriffs: APT29 und Russland-Verbindung

Die US-Geheimdienst-Community und führende Cybersicherheitsfirmen ordneten den Angriff mit hoher Zuversicht APT29 (Advanced Persistent Threat 29) zu, einem Bedrohungsakteur, der vermutlich mit dem russischen Auslandsgeheimdienst (SVR) in Verbindung steht. APT29 ist auch unter den Aliasnamen "Cozy Bear" oder "The Dukes" bekannt.

Diese Zuordnung basiert auf Merkmalen wie der technischen Raffinesse des Angriffs, der Zielauswahl, dem geduldigen Ansatz und dem Ziel der nachrichtendienstlichen Informationsbeschaffung auf nationaler Ebene. Russische Behörden haben diese Behauptungen jedoch durchweg zurückgewiesen.

Kritische Lehren und Empfehlungen für die Türkei

Der SolarWinds-Angriff enthält wichtige Lehren für türkische Organisationen. Als Nordis Global bieten wir im Lichte dieses Vorfalls folgende Empfehlungen:

1. Supply Chain-Risiko